Met die finansiële resultate, parlementêre bewyse en die herstelprentjie nou in sig, wat die voorval ons werklik vertel oor afhanklikhede, gekoppelde bestuur en sakeveerkragtigheid.
Toe Marks & Spencer-voorsitter Archie Norman in Julie 2025 voor die Parlement se Subkomitee vir Besigheid en Handel verskyn het, was die kleinhandelaar steeds besig om die gevolge van een van die mees ontwrigtende kubervoorvalle in sy geskiedenis te verwerk.
Die bewyssessie het 'n buitengewoon gedetailleerde beeld gebied van wat gebeur wanneer 'n suksesvolle kuberaanval diep in die daaglikse bedrywighede van 'n groot organisasie indring . Stelsels is vanlyn gehaal, aanlyn handel is ontwrig en herstel sou na verwagting maande lank voortduur.
Ons het nou 'n duideliker prentjie van die uiteindelike impak . In sy 2025/26-resultate het M&S £131.3 miljoen in voorvalverwante koste en £100 miljoen in versekeringsopbrengste gerapporteer. Aangepaste wins voor belasting het met 23.8% gedaal tot £671.4 miljoen, hoewel die besigheid in die tweede helfte teruggekeer het na jaar-tot-jaar winsgroei.
Die waarde van die M&S-ervaring as 'n gevallestudie gaan verder as die omvang van daardie finansiële knou. Een inbraak het gevolge geskep vir tegnologie, bedrywighede, verskaffers, kliëntedata en finansiële prestasie. Herstel het vereis dat al daardie verhoudings onder druk verstaan en bestuur word.
Vir leiers in inligtingsekuriteit, risiko en nakoming is daar baie om te leer uit wat gebeur het.
'n Kuberinsident het vinnig 'n sake-ontwrigting geword
M&S het aan die Parlement gesê dat die aanvanklike toegang tot hul stelsel op 17 April 2025 plaasgevind het deur middel van gesofistikeerde nabootsing, met 'n derde party wat ook by die toegangspunt betrokke was.
Sodra die aanval geïdentifiseer is, het M&S doelbewus stelsels afgeskakel om die breër besigheid te beskerm. Norman het verduidelik dat dit bygedra het tot die operasionele impak, maar die regte verdedigende aksie was. Om daardie stelsels veilig weer aanlyn te bring, het toe 'n lang herbou-oefening geword.
M&S se hoofregsadviseur, Nick Follan, het een van die mees praktiese lesse uit die ervaring tydens die parlementêre verhoor opgesom: organisasies behoort hul besigheid met pen en papier te kan bedryf vir 'n tydperk terwyl stelsels nie beskikbaar is nie.
Dit is 'n belangrike toets, want digitale dienste ondersteun nou alles van logistiek en betalings tot kliëntekommunikasie en werksmagbestuur. Wanneer daardie dienste verdwyn, beweeg die uitdaging waarmee die organisasie te kampe het baie vinnig verder as die sekuriteitspan.
Veerkragtigheid begin met die begrip van jou afhanklikhede
Die operasionele impak by M&S toon waarom afhanklikhede saak maak.
Die reaksie op die aanval het vereis dat pakhuisbestuurstelsels ontkoppel word. Dit het daartoe gelei dat aanlyn bestellings, Click & Collect en bestellings in die winkel onderbreek is, terwyl handmatige prosesse ingestel is om voorspelling, bestellings en aanvulling aan die gang te hou.
Daardie oplossings het winkels laat handel dryf, maar die gevolge het verder gestrek . M&S het gesê handmatige voorraadtoewysing het bygedra tot bykomende afslag en vermorsing, terwyl aanlynverkope vir Mode, Huis en Skoonheid met 42.9% gedaal het gedurende die eerste helfte namate die aanlynbedrywighede geleidelik herstel is.
Daardie kettingreaksie is wat afhanklikhede so 'n belangrike deel van veerkragtigheid maak.
Leiers moet verstaan watter dienste die besigheid nie kan bekostig om te verloor nie en die tegnologie, inligting, mense en verskaffers wat hulle aan die gang hou . Hulle moet ook weet wat elders gebeur wanneer een van daardie afhanklikhede faal.
'n Tegnologierisiko lyk baie anders wanneer dit gekoppel is aan kliëntevervulling, voorraadbeskikbaarheid of inkomste. 'n Relatief klein verskaffer kan besigheidskrities word deur die stelsels waartoe dit toegang het of die prosesse wat dit ondersteun.
Die M&S-insident het daardie verhoudings intyds blootgelê. Om dit vooraf te verstaan, gee organisasies 'n baie sterker basis om te besluit waar veerkragtigheid gebou moet word.
Voorbereiding moet in die werklike wêreld werk
M&S het voor die aanval in kuberveiligheid belê. Kuberrisiko het die aandag van die direksie en oudit- en risikokomitee gehad, en die maatskappy het simulasies en rooispan-oefeninge onderneem.
Norman se besinning daarna was veelseggend: die werklikheid van die voorval was veel intenser as daardie oefeninge. M&S het ook verwag dat die herbou van stelsels maande na die aanvanklike aanval sou voortduur.
Voorbereiding moet dus toets hoe die organisasie sal funksioneer wanneer die aannames wat in normale werkspraktyke ingebou is, verdwyn.
Organisasies moet:
- Verstaan kritieke dienste en afhanklikhede. Weet op watter stelsels, inligting, verskaffers en mense die organisasie staatmaak om aan die gang te bly.
- Beoordeel risiko in besigheidsterme. Verbind sekuriteits- en tegnologierisiko's met hul operasionele, finansiële, regulatoriese en kliëntgevolge.
- Handhaaf duidelike eienaarskap en beheermaatreëls. Maak verantwoordelikhede en eskalasieroetes sigbaar regdeur die organisasie.
- Monitor of beheermaatreëls doeltreffend bly. Gebruik bewyse, voorvalle en veranderinge in die besigheid om opkomende swakpunte te identifiseer.
- Toets realistiese ontwrigtingscenario's. Oefen reaksie en herstel teen langdurige onderbrekings, verskaffersfoute en die verlies van normale stelsels en kommunikasie.
- Voer lesse terug in die bestuur. Gebruik voorvalle, oefeninge, oudits en besigheidsveranderinge om risiko's, beheermaatreëls en prioriteite op te dateer.
Die NCSC se Siberbestuurskode volg dieselfde breë denke en bring risikobestuur, strategie, mense, voorvalbeplanning en -herstel, en versekering en toesig saam as verantwoordelikhede vir bestuur op direksievlak.
Die jongste riglyne vir hoogs ontwrigtende aanvalle erken ook dat herstel kan strek van onmiddellike inperking tot dae of weke van herbou voordat die organisasie terugkeer na normale bedrywighede.
Bestuur verbind die breër veerkragtigheidsprentjie
Norman se bewyse dui ook op 'n ander belangrike deel van die veerkragtigheidsuitdaging: om te weet hoe al hierdie afhanklikhede verbind.
Hy het 'n organisasie beskryf met ongeveer 50 000 mense wat aan sy stelsels werk, insluitend werknemers, kontrakteurs en uitkontrakteringspanne, tesame met 'n mengsel van ou en nuwer tegnologie. 'n Derde party was betrokke by die toegangspunt tot die aanval, terwyl die onderlinge verbondenheid van die tegnologie-eiendom volledige kompartementalisering moeilik gemaak het.
Sy aanbevelings het sterk op daardie fondamente gefokus. Norman het argitektuur as belangrik vir veerkragtigheid beskryf en organisasies aangeraai om 'n streng kaart te handhaaf van hoe stelsels koppel, wat hulle bevat en wie toegang het. Hy het ook daarop gewys dat die versterking van die kuberveiligheidspan alleen nie alles kan aanspreek wat dit gevra is om te verdedig nie.
Die breër M&S-reaksie demonstreer waarom dit saak maak.
Persoonlike kliëntinligting is ook tydens die aanval geneem , moontlik insluitend kontakbesonderhede, geboortedatums en aanlyn bestelgeskiedenis. M&S het dus privaatheids- en regulatoriese verantwoordelikhede gehad om te bestuur, tesame met sekuriteitsinperking, herstel, verskaffervrae en besigheidskontinuïteit.
En die tegnologie-omgewing wat organisasies moet beheer, bly uitbrei. Voor die aanval het M&S reeds 'n KI-aangedrewe kliëntaanbevelingsinstrument bekendgestel wat saam met die eksterne tegnologieverskaffer Preferabli ontwikkel is en met sy digitale produkkatalogus gekoppel is.
Teen Maart 2026 het dit gesê dat KI voorraadvoorspelling en -bestellings, bemarking en kollegadienste ondersteun, tesame met die bekendstelling van Microsoft Copilot aan 11 000 werknemers.
Daar is geen bewyse dat KI enige rol in die kuberaanval gespeel het nie. Die relevansie daarvan lê in die bykomende konnektiwiteit wat dit illustreer. KI kan staatmaak op dieselfde inligting, identiteite, stelsels en derdepartyverskaffers wat reeds deur sekuriteits- en privaatheidsbestuur oorweeg word.
'n Enkele verskaffersverhouding kan dus inligtingsekuriteit, persoonlike data en KI raak. 'n Stelselverandering kan implikasies vir al drie hê. 'n Insident wat deur een span geïdentifiseer word, kan risiko's blootstel of elders optrede vereis.
Wanneer inligtingsekuriteit, privaatheid en KI-beheer mekaar kan inlig, is daardie verbande makliker om te sien . Risiko's, beheermaatreëls, bewyse en korrektiewe aksies kan tussen die gebiede wat hulle raak, beweeg in plaas daarvan om binne individuele programme te bly.
Met verloop van tyd skep dit 'n veerkragtigheidslus : wat 'n organisasie in een deel van sy bestuursomgewing leer, versterk die ander en skep 'n meer volledige prentjie namate sy tegnologie, verskaffers en risiko's verander.
Dit maak saak, want hoe meer verbind 'n besigheid raak, hoe groter is die risiko dat iets belangriks tussen verantwoordelikheidsgebiede val. Verbonde bestuur help organisasies om daardie verhoudings te sien en te bestuur voordat 'n voorval hulle blootstel.
Regulering versterk die veerkragtigheidsagenda
Dieselfde fokus op veerkragtigheid, afhanklikhede en deurlopende bestuur is toenemend sigbaar regoor regulasie.
Onder NIS 2 dek kuberveiligheidsrisikobestuursmaatreëls die hantering van voorvalle, besigheidskontinuïteit, krisisbestuur, voorsieningskettingsekuriteit, batebestuur en prosesse om te bepaal of sekuriteitsmaatreëls steeds effektief is.
Vir finansiële organisasies binne die bestek van DORA word IKT-risikobestuur, veerkragtigheidstoetsing en derdeparty-afhanklikhede op soortgelyke wyse as gekoppelde dele van digitale operasionele veerkragtigheid behandel. Die regulasie vereis uitdruklik dat organisasies die kritieke aard van IKT-afhanklikhede in ag neem en derdeparty-risiko as deel van hul breër IKT-risikoraamwerk bestuur.
Die VK beweeg in dieselfde rigting. Die Wet op Kuberveiligheid en Veerkragtigheid (Netwerk- en Inligtingstelsels) , wat tans deur die Britse Hoërhuis vorder, is bedoel om die VK se bestaande NIS-regime rondom die sekuriteit en veerkragtigheid van noodsaaklike netwerk- en inligtingstelsels op te dateer. Teen September 2026 het dit die komiteefase van die Hoërhuis voltooi, met die verslagfase wat vir 26 Oktober geskeduleer is.
Verskillende organisasies sal verskillende kombinasies van hierdie vereistes in die gesig staar, tesame met databeskermingsverpligtinge en opkomende KI-bestuursverantwoordelikhede. Die oorvleueling versterk die waarde daarvan om die onderliggende risiko's, beheermaatreëls en afhanklikhede daaroor te verstaan, eerder as om elke vereiste as 'n geïsoleerde voldoeningsprojek te benader.
Veerkragtigheid is 'n direksiekamerkwessie
Die laaste deel van die M&S-storie is wat ná die onmiddellike krisis gebeur het.
Die resultate vir 2025/26 toon die finansiële gevolge duidelik: £131.3 miljoen in voorvalverwante koste, insluitend £109.3 miljoen vir stelselreaksie en -herstel, tesame met £100 miljoen in versekeringsopbrengste.
M&S het nietemin in die tweede helfte teruggekeer na jaar-tot-jaar winsgroei. Die maatskappy het spesifiek gewys op sy veerkragtige balansstaat wat dit in staat gestel het om die ontwrigting te absorbeer terwyl hy voortgaan met belegging in sy breër transformasie.
Dit verbreed die gesprek oor veerkragtigheid verder as tegnologieherstel.
'n Organisasie kan sy stelsels herstel en steeds verlore inkomste, herstelkoste, ontwrigting van kliënte, verskaffersprobleme, regulatoriese verpligtinge en maande se bestuursaandag moet absorbeer. Finansiële kapasiteit, kommunikasie, leierskap en die vermoë om besluite onder druk te neem, beïnvloed alles die uitkoms.
Rade benodig dus sigbaarheid oor die verbindings wat 'n tegnologieprobleem in 'n besigheidswye gebeurtenis kan omskep.
Die NCSC se Kuberbestuurskode maak daardie verantwoordelikheid eksplisiet, plaas eienaarskap van kritieke kuberbestuursaksies by rade en direkteure en behandel kuberveerkragtigheid as deel van die beskerming van finansiële stabiliteit, kontinuïteit en kliëntevertroue.
Wat behoort ander organisasies van M&S te neem?
Die M&S-ervaring bied leierskapspanne 'n nuttige manier om hul eie aannames uit te daag.
Weet ons watter dienste die besigheid die minste kan bekostig om te verloor, en alles waarvan hulle afhanklik is? Verstaan ons waar verskaffers toegang tot kritieke stelsels en inligting het? Kan spanne voortgaan om te werk as kerntegnologie môre verdwyn? Het ons dit getoets onder toestande wat soos 'n werklike krisis lyk?
En namate sekuriteit, privaatheid en KI meer onderling verbind raak, kan die mense wat daardie gebiede beheer, sien waar hul risiko's oorvleuel? Bereik 'n kwessie wat in een program geïdentifiseer is, betroubaar die ander wat dit raak? Sien leierskapspanne een samehangende prentjie van besigheidsrisiko, of verskeie gedeeltelike prentjies?
M&S het die verband tussen tegnologie, bedrywighede, verskaffers, kliënte-inligting en finansiële prestasie onder die druk van 'n groot voorval ervaar.
Ander organisasies het die geleentheid om daardie verbindings te verstaan en te beheer voordat hulle op dieselfde manier getoets word.
Dit is waar sakeveerkragtigheid begin: met 'n duidelike beeld van waarvan die organisasie afhanklik is, bestuur wat die risiko's rondom daardie afhanklikhede verbind, en die vermoë om aan te hou werk, aan te pas en te herstel wanneer iets verkeerd loop.
Brei jou kennis uit
Blog: Verder as die Oortreding: Waarom die Reaksie Nou die Storie Is
Blog: Beweeg van 'Hou hulle uit' na 'Hou die besigheid aan die gang'
Poduitsending: Phishing vir Moeilikheid S2 E5: Jy is voldoenend. Is jy veerkragtig?
